A DPT Pay é segura?

O que «seguro» significa realmente para uma fintech não bancária

A DPT Pay é uma empresa de tecnologia financeira, não um banco. Os depósitos mantidos na DPT Pay não estão abrangidos por sistemas de garantia de depósitos bancários como o Deposit Protection Scheme de Hong Kong, a FDIC nos EUA, o FSCS no Reino Unido ou equivalentes noutros países. Perguntar «a DPT Pay é segura?» da mesma forma que se perguntaria «esta conta poupança está segurada pela FDIC?» leva à resposta errada.

O enquadramento correto é o mesmo que os reguladores utilizam para qualquer instituição de pagamento não bancária: o operador é licenciado e supervisionado, o emissor do cartão está autorizado pela rede, o custodiante é regulado, os fundos dos clientes estão segregados dos fundos operacionais e que controlos ao nível da conta protegem o utilizador contra fraudes de terceiros? Cada uma destas questões é uma vertente distinta da segurança. A DPT Pay tem uma resposta documentada para cada uma delas.

As secções seguintes percorrem cada camada por ordem, identificando os parceiros reais (U.S. Bank, BitGo) e o perímetro regulatório real (licença TCSP de Hong Kong ao abrigo da AMLO Cap. 615) — não em tom de marketing, mas na linguagem que o Centro de Ajuda utiliza.

Fonte: Centro de Ajuda DPT — A DPT é um banco?

A camada da licença — TCSP de Hong Kong ao abrigo da AMLO Cap. 615

A DPT Pay é operada pela DPT (HK) Limited, uma empresa de Hong Kong. A DPT (HK) Limited detém uma licença de Trust or Company Service Provider (TCSP) ao abrigo da Anti-Money Laundering and Counter-Terrorist Financing Ordinance (AMLO), Cap. 615 — a lei que regula as obrigações de AML/CFT dos operadores de serviços financeiros não bancários em Hong Kong.

A licença TCSP é administrada pelo Companies Registry e pelo Customs and Excise Department de Hong Kong. Ser titular desta licença obriga a DPT Pay a: identificar e verificar a identidade de todos os clientes (KYC completo, sem atalhos por níveis), monitorizar as transações em busca de atividade suspeita, comunicar operações suspeitas sempre que exigido, conservar os registos dos clientes durante os prazos que a AMLO determina e manter o seu programa de AML/CFT passível de análise pelos reguladores. A licença não torna a DPT Pay um banco nem lhe confere garantia de depósitos — mas coloca a DPT Pay dentro de um perímetro supervisionado, e não fora dele.

Para uma fintech que lida com stablecoins, a licença tem importância operacional que vai além do cumprimento meramente formal: impõe um KYC efetivo, uma verificação efetiva de sanções em todas as transações (ver KYT mais abaixo) e um regime efetivo de comunicação aos reguladores quando algo corre mal.

Fontes: Centro de Ajuda DPT — Quem gere a DPT?, Centro de Ajuda DPT — Onde está sediada a DPT?, Centro de Ajuda DPT — Que licença tem a DPT?

A camada de emissão do cartão — U.S. Bank ao abrigo de uma licença da Visa

O cartão Visa DPT é emitido pelo U.S. Bank ao abrigo de uma licença da Visa. Esta é a arquitetura habitual de «marca fintech à frente, emissor regulado por trás», utilizada pela maioria das fintechs que emitem cartões. A DPT Pay não gere diretamente um programa de cartões — trabalha em parceria com o U.S. Bank, que é o membro principal da Visa responsável pelo próprio cartão, pelos direitos de estorno, pelo processo de disputa e pelo perímetro regulatório inerente à condição de emissor de cartões.

O que isto garante aos titulares do cartão: aplica-se a proteção contra fraude de responsabilidade zero habitual da Visa, aplicam-se os direitos de estorno habituais, o cartão funciona nas mesmas redes Visa que qualquer outro cartão Visa Platinum ou Visa Infinite nos terminais dos comerciantes em todo o mundo, e as disputas seguem as mesmas regras do sistema Visa. O cartão não é um produto diferente só porque a marca na frente é «DPT Pay» em vez do nome de um banco.

Fonte: Centro de Ajuda DPT — Quem emite o cartão DPT?

A camada de custódia — BitGo

As stablecoins (USDC e USDT) depositadas numa conta DPT são mantidas em custódia pela BitGo. A BitGo é um dos maiores custodiantes regulados de ativos digitais, com um longo historial em armazenamento a frio (cold storage), gestão de chaves com assinatura múltipla e segregação de ativos institucionais. A DPT Pay não guarda diretamente as criptomoedas dos clientes na sua própria infraestrutura — os ativos estão na BitGo, ao abrigo do enquadramento de custódia regulada da BitGo, sendo a DPT Pay a operadora da conta.

Esta divisão é importante: mesmo que os sistemas operacionais da DPT Pay fossem comprometidos, os ativos dos clientes estão nas mãos de um custodiante regulado independente, em vez de misturados com as próprias chaves da plataforma. É a mesma arquitetura utilizada pela maioria dos programas de cartões de stablecoins em conformidade — a fintech detém a relação com o utilizador e o programa de cartões, o custodiante regulado detém os ativos.

Fonte: Centro de Ajuda DPT — O meu dinheiro está segurado ou protegido?

Segregação de fundos

Os fundos dos clientes são mantidos separadamente dos fundos operacionais da própria DPT Pay. Esta é uma consequência fundamental do recurso a um custodiante regulado: os ativos que a BitGo detém para os clientes da DPT Pay são contabilizados separadamente de quaisquer ativos que a própria DPT Pay utilize para gerir o negócio. É a segregação que permite que a secção seguinte seja verdadeira.

Segregação não é o mesmo que garantia de depósitos. Se a própria infraestrutura de um custodiante fosse comprometida ao nível dos ativos, a segregação, por si só, não ressarciria os clientes — é para isso que servem o seguro do custodiante, a disciplina de armazenamento a frio e os controlos operacionais. Mas a segregação garante que os ativos dos clientes não fazem parte do balanço da própria DPT Pay, o que significa que não são os primeiros a absorver perdas num cenário de dificuldades da empresa.

Fontes: Centro de Ajuda DPT — O meu dinheiro está segurado ou protegido?, Centro de Ajuda DPT — O que acontece ao meu dinheiro se a DPT encerrar?

Segurança ao nível da conta

As camadas de licenciamento e de custódia descritas acima protegem os clientes do risco sistémico. A camada ao nível da conta protege cada utilizador contra fraudes direcionadas, phishing e roubo de credenciais. Aqui, o conjunto de medidas da DPT Pay é o habitual numa fintech moderna:

• Autenticação de dois fatores (2FA) através de chave de acesso (passkey) ou de uma app de autenticação. Ativa-se em Perfil (Profile) → Segurança (Security) na app. Se perder o acesso ao seu dispositivo de 2FA, o e-mail registado é o canal de recuperação.

• Código antiphishing — uma palavra ou expressão personalizada que só o utilizador conhece, incluída em todos os e-mails oficiais enviados pela DPT Pay. Se um e-mail afirmar ser da DPT mas não contiver o seu código, não é da DPT.

• Notificações de despesas em tempo real — cada transação com o cartão desencadeia uma notificação push imediata, pelo que qualquer utilização não autorizada fica visível em segundos.

• Monitorização KYT (Know Your Transaction) — todas as transações são analisadas em tempo real em busca de violações de sanções, indícios de fraude e padrões de atividade ilícita. Não é necessária qualquer ação do utilizador.

• Bloqueio da conta — cinco tentativas de palavra-passe incorretas bloqueiam automaticamente o acesso à conta durante 24 horas. O cartão continua ativo durante o bloqueio; apenas o início de sessão fica restringido.

• Bloqueio do cartão — três tentativas incorretas de CVV / data de validade / PIN no terminal desencadeiam um bloqueio do cartão de 24 horas, independente do estado da conta.

Uma salvaguarda comportamental importante: a DPT Pay nunca lhe pedirá a palavra-passe, o número completo do cartão, o CVV ou a frase de recuperação da carteira. Qualquer mensagem que o faça não é da DPT e deve ser denunciada.

Fontes: Centro de Ajuda DPT — Autenticação de dois fatores, Centro de Ajuda DPT — Código antiphishing, Centro de Ajuda DPT — Notificações de despesas, Centro de Ajuda DPT — Monitorização de transações KYT, Centro de Ajuda DPT — A DPT alguma vez pede a minha palavra-passe ou o CVV?

Se o seu cartão for perdido, roubado ou comprometido

A resposta mais rápida é congelar o cartão diretamente na app DPT — sem necessidade de abrir um pedido de apoio. Enquanto estiver congelado, nenhuma transação será processada. Pode descongelá-lo a qualquer momento quando encontrar o cartão ou ativar um cartão de substituição.

Congelar é diferente de bloquear. O bloqueio é automático, desencadeado por três tentativas erradas de CVV / data de validade / PIN no terminal; o bloqueio levanta-se ao fim de 24 horas sem intervenção. O congelamento é manual, ativado pelo próprio utilizador na app, sem limite de tempo. Utilize o congelamento quando suspeitar de uma violação. Encare o bloqueio automático como uma rede de segurança com que não precisa de se preocupar.

Para cobranças não autorizadas já lançadas: congele o cartão e, em seguida, contacte o apoio ao cliente com os dados da transação (data, montante, comerciante). Os estornos têm de ser pedidos no prazo de 60 dias a contar da data de lançamento no extrato. A disputa segue depois as regras habituais do sistema Visa — o mesmo processo de qualquer cartão Visa.

Se suspeitar que a própria conta (e não apenas o cartão) foi comprometida: congele o cartão, altere a palavra-passe através de «Esqueceu-se da palavra-passe» (Forgot Password) no ecrã de início de sessão, ative a 2FA se ainda não estiver ativa e reveja o histórico de transações recentes. Comunique as cobranças que não reconhecer através do processo de disputa descrito acima.

Fontes: Centro de Ajuda DPT — Como congelo o meu cartão?, Centro de Ajuda DPT — Porque é que o meu cartão foi bloqueado?, Centro de Ajuda DPT — Como comunico uma cobrança fraudulenta ou não autorizada?, Centro de Ajuda DPT — Acho que a minha conta foi pirateada

Se a DPT Pay encerrar

Como os fundos dos clientes são mantidos por um custodiante regulado (BitGo) e contabilizados separadamente dos fundos operacionais da própria DPT Pay, uma perturbação da atividade ao nível da DPT Pay não mistura os ativos dos clientes com os ativos empresariais da DPT Pay. O custodiante continua a deter os ativos independentemente da situação empresarial da DPT Pay.

Este é o regime habitual de custódia nas fintechs não bancárias, e é substancialmente diferente da forma como um banco detém depósitos. Num banco, o seu depósito é um passivo do banco e está protegido por uma garantia estatal de depósitos até um limite máximo. Numa fintech não bancária que recorre a custódia regulada, os seus ativos não são um passivo da fintech — são ativos seus, detidos pelo custodiante, sendo a fintech a operadora da plataforma. Não existe garantia estatal, mas os ativos também não são rubricas do balanço da empresa.

A conclusão, sem rodeios: o risco de encerramento é real e existe, mas a arquitetura de segregação foi concebida para que o risco de encerramento não equivalha ao risco de perda de fundos, como aconteceria se os ativos estivessem misturados.

Fonte: Centro de Ajuda DPT — O que acontece ao meu dinheiro se a DPT encerrar?

Onde a DPT Pay não é segura — limites assumidos

Três aspetos em que «seguro» tem de significar «menos do que um banco»:

1. Sem garantia estatal de depósitos. A DPT Pay não é um banco. O seu saldo não está abrangido pelo DPS de Hong Kong, pela FDIC dos EUA, pelo FSCS do Reino Unido nem por qualquer equivalente. Existem salvaguardas ao nível do custodiante, mas não são o mesmo que uma garantia estatal.
2. O risco das stablecoins é transmitido ao utilizador. O seu saldo é mantido em USDC ou USDT. O risco de perda da paridade, o risco do emitente (Circle para a USDC, Tether para a USDT) e o risco ao nível da rede em que o seu depósito se encontrava não são eliminados pelo facto de a DPT Pay deter o ativo através da BitGo — são inerentes às próprias stablecoins.
3. Podem ocorrer congelamentos por motivos de conformidade. O KYT faz a verificação de sanções e de fraude em tempo real. As transações legítimas não são afetadas, mas um depósito cuja origem seja sinalizada pode ser congelado até à conclusão da análise. Isto é uma característica de quem opera dentro de um perímetro regulado, não um defeito, mas é uma restrição real ao «posso levantar quando quiser».

Nada disto torna a DPT Pay insegura em sentido absoluto. Significa, sim, que a pergunta não é «é segura?», mas «o modelo de segurança é o adequado ao meu caso de utilização?». Para despesas do dia a dia com stablecoins numa rede Visa, com custódia, segregação e um operador regulado por trás — sim. Para guardar as poupanças de uma vida como faria num banco coberto pela FDIC — não; nenhuma plataforma de stablecoins não bancária serve esse propósito.

Perguntas frequentes

A DPT Pay é regulada?

Sim, dentro do seu perímetro. A DPT (HK) Limited detém uma licença TCSP de Hong Kong ao abrigo da AMLO Cap. 615. O emissor do cartão (U.S. Bank) é um membro principal licenciado pela Visa. O custodiante (BitGo) é um prestador regulado de serviços de custódia de ativos digitais. A DPT Pay, em si, não é um banco nem é regulada como tal.

O meu dinheiro está segurado se a DPT Pay falir?

Não através de um sistema de garantia de depósitos bancários. A DPT Pay não é um banco, e os saldos não estão abrangidos pelo Deposit Protection Scheme de Hong Kong, pela FDIC, pelo FSCS nem por mecanismos equivalentes. Os fundos dos clientes são mantidos em custódia regulada pela BitGo e segregados dos fundos operacionais da própria DPT Pay, pelo que uma perturbação da atividade ao nível da DPT Pay não mistura os ativos dos clientes com os ativos da empresa. Mas segregação não é o mesmo que uma garantia estatal, e a diferença é importante.

A DPT Pay já foi alvo de ataques informáticos?

O historial público de incidentes não faz parte dos conteúdos do Centro de Ajuda, pelo que não afirmaremos aqui um historial sem incidentes. Os controlos ao nível da conta — 2FA, código antiphishing, monitorização KYT, notificações de despesas em tempo real, congelamento manual do cartão — são as defesas de cada utilizador. Nesta categoria, as violações ao nível da conta (phishing, reutilização de credenciais, dispositivos perdidos) são muito mais comuns do que as violações da plataforma; o conjunto de medidas de segurança foi concebido em conformidade.

A DPT Pay pode congelar a minha conta?

Sim, em circunstâncias específicas. A monitorização KYT (Know Your Transaction) analisa todas as transações em busca de violações de sanções, indícios de fraude e padrões de atividade ilícita. Uma transação sinalizada pode suspender um levantamento até à conclusão da análise. Trata-se de uma exigência regulatória ao abrigo da AMLO Cap. 615, não de uma política discricionária, e aplica-se a qualquer instituição de pagamento não bancária em conformidade que opere em Hong Kong.

Qual é a diferença entre congelar e bloquear o meu cartão?

O congelamento é manual — é o próprio utilizador que o ativa na app, sem limite de tempo, e o levanta quando quiser. Utilize-o se suspeitar de uma violação. O bloqueio é automático — é desencadeado por três tentativas erradas de CVV / data de validade / PIN no terminal, levanta-se sozinho ao fim de 24 horas e não exige qualquer intervenção. Ambos impedem transações enquanto estão ativos.

Guias relacionados

• O que é a DPT Pay? — o guia de referência completo da marca (entidade, licenças, parceiros, preços)
• O que é um cartão cripto — como funcionam, em geral, os cartões de stablecoins na rede Visa
• Como um cartão de stablecoins processa uma transação
• Com custódia vs sem custódia — quem detém realmente os seus fundos
• Centro de Ajuda DPT — Segurança e conta — as 12 perguntas frequentes completas sobre segurança